Merge branch 'openid-connect' into 'main'

Openid connect

See merge request bde/nk20!293

README.md

@@ -58,7 +58,13 @@ Bien que cela permette de créer une instance sur toutes les distributions,
     (env)$ ./manage.py createsuperuser  # Création d'un⋅e utilisateur⋅rice initial
     ```
 
-6.  Enjoy :
+6. (Optionnel) **Création d'une clé privée OpenID Connect**
+
+Pour activer le support d'OpenID Connect, il faut générer une clé privée, par
+exemple avec openssl (`openssl genrsa -out oidc.key 4096`), et renseigner son
+emplacement dans `OIDC_RSA_PRIVATE_KEY` (par défaut `/var/secrets/oidc.key`).
+
+7.  Enjoy :
 
     ```bash
     (env)$ ./manage.py runserver 0.0.0.0:8000
@@ -228,6 +234,12 @@ Sinon vous pouvez suivre les étapes décrites ci-dessous.
         (env)$ ./manage.py check # pas de bêtise qui traine
         (env)$ ./manage.py migrate
 
+7. **Création d'une clé privée OpenID Connect**
+
+Pour activer le support d'OpenID Connect, il faut générer une clé privée, par
+exemple avec openssl (`openssl genrsa -out oidc.key 4096`), et renseigner son
+emplacement dans `OIDC_RSA_PRIVATE_KEY` (par défaut `/var/secrets/oidc.key`).
+
 7.  *Enjoy \o/*
 
 ### Installation avec Docker

apps/permission/fixtures/initial.json

@@ -324,7 +324,7 @@
             "mask": 2,
             "field": "",
             "permanent": false,
-            "description": "Créer une transaction de ou vers la note d'un club tant que la source reste au dessus de -20 €"
+            "description": "Créer une transaction de ou vers la note d'un club"
         }
     },
     {
@@ -3815,7 +3815,7 @@
             "mask": 2,
             "field": "",
             "permanent": false,
-            "description": "Créer une transaction vers la note d'un club tant que la source reste au dessus de -20 €"
+            "description": "Créer une transaction vers la note d'un club"
         }
     },
     {
@@ -4186,86 +4186,6 @@
             "description": "Voir la note d'un club enfant"
         }
     },
-    {
-        "model": "permission.permission",
-        "pk": 266,
-        "fields": {
-            "model": [
-                "note",
-                "transaction"
-            ],
-            "query": "[\"OR\", {\"source_alias\": \"Carte bancaire\"}, {\"source_alias\": \"Espèces\"}, {\"source_alias\": \"Chèque\"}, {\"source_alias\": \"Virement bancaire\"}]",
-            "type": "view",
-            "mask": 2,
-            "field": "",
-            "permanent": false,
-            "description": "Voir les transactions de rechargement"
-        }
-    },
-    {
-        "model": "permission.permission",
-        "pk": 267,
-        "fields": {
-            "model": [
-                "note",
-                "transaction"
-            ],
-            "query": "[\"OR\", {\"source_alias\": \"Carte bancaire\"}, {\"source_alias\": \"Espèces\"}, {\"source_alias\": \"Chèque\"}, {\"source_alias\": \"Virement bancaire\"}]",
-            "type": "change",
-            "mask": 2,
-            "field": "valid",
-            "permanent": false,
-            "description": "Mettre à jour le statut de validation d'une transaction de rechargement"
-        }
-    },
-    {
-        "model": "permission.permission",
-        "pk": 268,
-        "fields": {
-            "model": [
-                "note",
-                "transaction"
-            ],
-            "query": "[\"OR\", {\"source_alias\": \"Carte bancaire\"}, {\"source_alias\": \"Espèces\"}, {\"source_alias\": \"Chèque\"}, {\"source_alias\": \"Virement bancaire\"}]",
-            "type": "change",
-            "mask": 2,
-            "field": "invalidity_reason",
-            "permanent": false,
-            "description": "Modifier la raison d'invalidité d'une transaction de rechargement"
-        }
-    },
-    {
-        "model": "permission.permission",
-        "pk": 269,
-        "fields": {
-            "model": [
-                "note",
-                "transaction"
-            ],
-            "query": "[\"OR\", {\"source_alias\": \"Carte bancaire\"}, {\"source_alias\": \"Espèces\"}, {\"source_alias\": \"Chèque\"}, {\"source_alias\": \"Virement bancaire\"}]",
-            "type": "add",
-            "mask": 2,
-            "field": "",
-            "permanent": false,
-            "description": "Créer une transaction de rechargement"
-        }
-    },
-    {
-        "model": "permission.permission",
-        "pk": 270,
-        "fields": {
-            "model": [
-                "note",
-                "transaction"
-            ],
-            "query": "[\"AND\", [\"OR\", {\"source\": [\"club\", \"note\"]}, {\"destination\": [\"club\", \"note\"]}], [\"OR\", {\"source__balance__gte\": {\"F\": [\"SUB\", [\"MUL\", [\"F\", \"amount\"], [\"F\", \"quantity\"]], 5000]}}, {\"valid\": false}]]",
-            "type": "add",
-            "mask": 2,
-            "field": "",
-            "permanent": false,
-            "description": "Créer une transaction de ou vers la note d'un club tant que la source reste au dessus de -50 €"
-        }
-    },
     {
         "model": "permission.role",
         "pk": 1,

note_kfet/settings/base.py

@@ -268,6 +268,10 @@ OAUTH2_PROVIDER = {
     'OAUTH2_VALIDATOR_CLASS': "permission.scopes.PermissionOAuth2Validator",
     'REFRESH_TOKEN_EXPIRE_SECONDS': timedelta(days=14),
     'PKCE_REQUIRED': False, # PKCE (fix a breaking change of django-oauth-toolkit 2.0.0)
+    'OIDC_ENABLED': True,
+    'OIDC_RSA_PRIVATE_KEY':
+        os.getenv('OIDC_RSA_PRIVATE_KEY', '/var/secrets/oidc.key'),
+    'SCOPES': { 'openid': "OpenID Connect scope" },
 }
 
 # Take control on how widget templates are sourced